Privilegios de acceso de usuario

Indicadores de permiso de clase de inicio de sesión

Utilice indicadores de permiso para conceder a un usuario acceso a los comandos del modo operativo y a los niveles e instrucciones de jerarquía de configuración. Configure indicadores de permisos para la clase de inicio de sesión del usuario en el [edit system login class] nivel jerárquico. Cuando se especifica un indicador de permisos determinado, el usuario obtiene acceso a los comandos y a los niveles e instrucciones de jerarquía de configuración que corresponden a esa marca. Para conceder acceso a todos los comandos y instrucciones de configuración, utilice el all indicador de permisos.

La permissions instrucción especifica uno o varios de los indicadores de permiso enumerados en Tabla 1. Los indicadores de permiso no son acumulativos. Para cada clase, debe enumerar todos los indicadores de permisos necesarios, incluso view para mostrar información y configure entrar en el modo de configuración. Dos formas de permisos controlan el acceso de un usuario a las partes individuales de la configuración:

• Formulario "sin formato": ofrece capacidad de solo lectura para ese tipo de permiso. Un ejemplo es interface.

• -control formulario: ofrece capacidad de lectura y escritura para ese tipo de permiso. Un ejemplo es interface-control.

En el caso de los indicadores de permiso que conceden acceso a los niveles e instrucciones de jerarquía de configuración, los indicadores de formulario sin formato conceden privilegios de solo lectura a esa configuración. Por ejemplo, la interface marca de permisos concede acceso de solo lectura al [edit interfaces] nivel de jerarquía. El -control formulario de la marca otorga acceso de lectura y escritura a esa configuración. Por ejemplo, la interface-control marca concede acceso de lectura y escritura al [edit interfaces] nivel de jerarquía.

Tabla 1 enumera los indicadores de permisos de clase de inicio de sesión que puede configurar incluyendo la permissions instrucción en el [edit system login class class-name] nivel de jerarquía.

Los indicadores de permiso conceden un conjunto específico de privilegios de acceso. Cada marca de permisos se muestra con el modo operativo o los comandos del modo de configuración y los niveles e instrucciones de jerarquía de configuración para los que esa marca concede acceso.

Permitir y denegar comandos individuales y jerarquías de instrucción para clases de inicio de sesión

De forma predeterminada, todos los comandos de CLI de nivel superior y los niveles de jerarquía de configuración tienen niveles de privilegios de acceso asociados. Los usuarios pueden ejecutar solo esos comandos y ver y configurar solo aquellas instrucciones para las que tienen privilegios de acceso. Para cada clase de inicio de sesión, puede permitir y denegar explícitamente el uso de los comandos del modo operativo y del modo de configuración y jerarquías de instrucción que, de otro modo, se permitirían o negarían mediante un nivel de privilegio especificado en la permissions instrucción.

Las marcas de permiso conceden a un usuario acceso al modo operativo y a los comandos del modo de configuración, así como a los niveles y instrucciones de jerarquía de configuración. Al especificar un indicador de permisos específico en la clase de inicio de sesión del usuario en el [edit system login class] nivel de jerarquía, concede al usuario acceso a los comandos y niveles de jerarquía de configuración correspondientes y a las instrucciones. Para conceder acceso a todos los comandos y instrucciones de configuración, utilice el all indicador de permisos.

Puede permitir o denegar explícitamente el uso de comandos y instrucciones configurando las allow-commandsinstrucciones , deny-commandsallow-configuration, y deny-configuration para una clase de inicio de sesión. En las instrucciones, se usan expresiones regulares extendidas para definir qué comandos e instrucciones permitir o denegar para los usuarios asignados a la clase.

Descripción de las instrucciones permitir y negar

Cada jerarquía de instrucción de configuración y comando de CLI de nivel superior tiene un nivel de privilegios de acceso asociado. Cada clase de inicio de sesión puede permitir o denegar explícitamente el uso de los comandos del modo operativo y del modo de configuración, así como de jerarquías e instrucciones de configuración que, de otro modo, serían permitidos o denegados por un nivel de privilegio. Los usuarios pueden ejecutar solo esos comandos y ver y configurar solo aquellas instrucciones para las que tienen privilegios de acceso.

Los privilegios de acceso para cada clase de inicio de sesión están definidos por uno o más indicadores de permiso especificados en la permissions instrucción en el [edit system login class class-name] nivel jerárquico. Además, puede permitir o denegar el uso de comandos y jerarquías de configuración específicos mediante la definición de expresiones regulares extendidas. Puede especificar las expresiones regulares configurando las siguientes instrucciones para una clase de inicio de sesión:

• allow-commands y deny-commands—Permitir o denegar el acceso a los comandos del modo operativo y del modo de configuración.

• allow-configuration y deny-configuration—Permitir o denegar el acceso a jerarquías de configuración específicas.

  Nota:

  Estas instrucciones realizan una coincidencia más lenta, con más flexibilidad, especialmente en la coincidencia de comodín. Sin embargo, puede llevar mucho tiempo evaluar todas las instrucciones posibles si se configura un gran número de expresiones regulares de ruta completa o comodín, lo que posiblemente afecte negativamente al rendimiento.

• allow-commands-regexps y deny-commands-regexps—Permite o niega el acceso a comandos concretos mediante cadenas de expresiones regulares.

• allow-configuration-regexps y deny-configuration-regexps—Permite o niega el acceso a jerarquías de configuración específicas mediante cadenas de expresiones regulares.

Permitir explícitamente comandos y jerarquías de instrucciones de configuración mediante las allow/deny-* instrucciones se agrega a los permisos que la permissions instrucción ya define. Del mismo modo, negar explícitamente los comandos y las jerarquías de instrucciones de configuración mediante las allow/deny-* instrucciones elimina los permisos que la permissions instrucción ya define.

Por ejemplo, en la siguiente configuración, el configure permiso permite a los usuarios de la clase de inicio de sesión entrar en el modo de configuración. Además, la allow-configuration expresión permite a los usuarios modificar la configuración en el [edit system services] nivel de jerarquía y confirmarla.

De manera similar, en la siguiente configuración, el usuario de clase de inicio de sesión puede realizar todas las operaciones que permite el all indicador de permisos, excepto que el usuario no puede ver o modificar la configuración en el [edit system services] nivel de jerarquía:

Descripción de la sintaxis de la instrucción Allow and Deny

Puede configurar una allow/deny-* instrucción solo una vez en cada clase de inicio de sesión. Cuando configure una instrucción:

• Puede configurar tantas expresiones regulares como sea necesario.

• Las expresiones regulares no son sensibles a mayúsculas y minúsculas

Las allow/deny-commands declaraciones se excluyen mutuamente con las allow/deny-commands-regexps instrucciones, y las allow/deny-configuration declaraciones son mutuamente excluyentes con las allow/deny-configuration-regexps declaraciones. Por ejemplo, no puede configurar tanto como allow-configurationallow-configuration-regexps en la misma clase de inicio de sesión.

Para definir privilegios de acceso a comandos, especifique expresiones regulares extendidas mediante las allow-commands instrucciones y deny-commands . Encierre cada expresión independiente completa entre paréntesis ( ), y utilice el símbolo de canalización ( | ) para separar las expresiones. No utilice espacios entre expresiones regulares conectadas con el símbolo de canalización. La expresión completa se adjunta entre comillas dobles.

Por ejemplo:

Debe usar anclajes al especificar expresiones regulares complejas con la allow-commands instrucción. Por ejemplo:

Para definir privilegios de acceso a partes de la jerarquía de configuración, especifique expresiones regulares extendidas en las allow-configuration instrucciones y deny-configuration . Encierre las rutas completas entre paréntesis ( ), y utilice el símbolo de canal ( | ) para separar las expresiones. No utilice espacios entre expresiones regulares conectadas con el símbolo de canalización. La expresión completa se adjunta entre comillas dobles.

Por ejemplo:

Cuando especifique expresiones regulares extendidas mediante las allow/deny-commands-regexps instrucciones o allow/deny-configuration-regexps , encierre cada expresión entre comillas (" "), y separe las expresiones mediante un espacio. Encierre varias expresiones entre corchetes [ ]. Por ejemplo:

Modificadores como set, logy count no se admiten dentro de la cadena de expresión regular que se va a coincidir. Si usa un modificador, no coincide nada.

Configuración correcta:

Configuración incorrecta:

Descripción de la prioridad y la coincidencia de la instrucción Permitir y negar

De forma predeterminada, las allow-configurationallow-commands expresiones y regulares tienen prioridad sobre deny-commands las deny-configuration expresiones. Por lo tanto, si configura el mismo comando para las allow-commands instrucciones y deny-commands , a continuación, la operación permitir tiene prioridad sobre la operación deny. De manera similar, si configura la misma instrucción para las allow-configuration instrucciones y deny-configuration , a continuación, la operación permitir tiene prioridad sobre la operación denegar.

Por ejemplo, la siguiente configuración permite que un usuario de la test clase de inicio de sesión instale software mediante el request system software add comando, aunque la deny-commands instrucción incluya el mismo comando:

De manera similar, la siguiente configuración permite que un usuario de la test prueba de clase de inicio de sesión vea y modifique la [edit system services] jerarquía de configuración, aunque la deny-configuration instrucción incluya la misma jerarquía:

Si las allow-commands instrucciones and deny-commands tienen dos variantes diferentes de un comando, siempre se ejecuta la coincidencia más larga. La siguiente configuración permite que un usuario de la test clase de inicio de sesión ejecute el commit synchronize comando, pero no el commit comando. Esto se debe a commit synchronize que es la coincidencia más larga entre commit y commit synchronize, y se especifica para allow-commands.

La siguiente configuración permite que un usuario de la test clase de inicio de sesión ejecute el commit comando, pero no el commit synchronize comando. Esto se debe a commit synchronize que es la coincidencia más larga entre commit y commit synchronize, y se especifica para deny-commands.

A diferencia de las otras instrucciones, el comportamiento predeterminado de las *-regexps instrucciones es que las deny-commands-regexpsdeny-configuration-regexps expresiones y regulares tienen prioridad sobre allow-commands-regexps y allow-configuration-regexps las expresiones. Puede configurar la regex-additive-logic instrucción en el [edit system] nivel de jerarquía para que las allow-configuration-regexps expresiones regulares tengan prioridad sobre las deny-configuration-regexps instrucciones. La configuración de la instrucción le permite denegar jerarquías de configuración en un nivel superior y, luego, solo permitir el acceso del usuario a sub jerarquías específicas.

Descripción de las reglas de la instrucción Permitir y negar

Las allow/deny-commandsinstrucciones , allow/deny-configuration, allow/deny-commands-regexpsy allow/deny-configuration-regexps tienen prioridad sobre los permisos de la clase de inicio de sesión. Cuando configure estas instrucciones, se aplican las siguientes reglas:

• Las expresiones regulares para allow-commands e deny-commands instrucciones también pueden incluir los commitcomandos , rollbackload, save, status, yupdate.

• Los all bits de permiso de la clase de inicio de sesión tienen prioridad sobre las expresiones regulares extendidas cuando un usuario emite el rollback comando con la rollback marca de permiso habilitada.

• Los usuarios no pueden emitir el load override comando al especificar una expresión regular extendida. Los usuarios solo pueden emitir los mergecomandos , replacey patch de configuración.

• Puede usar el carácter comodín * al denotar expresiones regulares. Sin embargo, debe usarla como parte de una expresión regular. No puede usar [ * ] ni [ .* ] como la única expresión. Además, no puede configurar la allow-configuration instrucción con una expresión como (interfaces (description (|.*)), porque esto evalúa como allow-configuration .*.

Descripción de las diferencias para las instrucciones *-regexps

En esta sección se describen las diferencias entre las allow/deny-configuration instrucciones y las instrucciones allow/deny-configuration-regexps .

Las allow/deny-configuration-regexps instrucciones dividen la expresión regular en tokens y coinciden con cada pieza con cada parte de la ruta completa de la configuración especificada, mientras que las allow/deny-configuration instrucciones coinciden con la cadena completa. Para allow/deny-configuration-regexps instrucciones, se configura un conjunto de cadenas en el que cada cadena es una expresión regular, con espacios entre los términos de la cadena. Esta sintaxis proporciona una coincidencia muy rápida, pero ofrece menos flexibilidad. Para especificar expresiones de comodín, debe configurar comodín para cada token de la cadena delimitada por el espacio que desea hacer coincidir, lo que dificulta el uso de expresiones comodín para estas instrucciones.

Por ejemplo:

• Expresión regular que coincide con un token mediante allow-configuration-regexps

  En este ejemplo, se muestra que options es la única expresión coincide con el primer token de la instrucción.

  La configuración anterior coincide con las siguientes instrucciones:

  • establecer la condición conditionde opciones de política dynamic-db

  • establecer opciones de enrutamiento de ruta static-route estática de salto siguiente next-hop

  • establecer opciones de eventos generar-intervalo de tiempo de evento eventseconds

  La configuración anterior no coincide con las siguientes instrucciones:

  • opciones de host de nombre de sistema

  • opciones de descripción de interfaces interface-name

• Expresión regular que coincide con tres tokens mediante allow-configuration-regexps

  En este ejemplo, se muestra que ssh es la única expresión coincide con el tercer token de la instrucción.

  En el ejemplo anterior, los tres tokens incluyen .*, .*y .*ssh, respectivamente.

  La configuración anterior coincide con las siguientes instrucciones:

  • sistema de nombre de hostname host-ssh

  • servicios de sistema ssh

  • servicios del sistema outbound-ssh

  La configuración anterior no coincide con la siguiente instrucción:

  • descripción de interfaces interface-namessh

Es más fácil usar la instrucción para restringir el deny-configuration acceso a la configuración que usar la deny-configuration-regexps instrucción. Tabla 2 Muestra el uso de las deny-configuration instrucciones y deny-configuration-regexps en diferentes configuraciones para lograr el mismo resultado de restringir el acceso a una configuración determinada.

[edit system]
login {
    class test {
        permissions configure;
         allow-configuration .*;
        deny-configuration .*xnm-ssl;
    }
}

[edit system]
login {
    class test {
        permissions configure;
         allow-configuration .*;
        deny-configuration-regexps ".* .* .*-ssl"";
    }
}

[edit system]
login {
    class test {
        permissions configure;
        allow-configuration .*;
        deny-configuration ".*ssh";
    }
}

[edit system]
login {
    class test {
        permissions configure;
        allow-configuration .*;
        deny-configuration-regexps ".*ssh";
        deny-configuration-regexps ".* .*ssh";
        deny-configuration-regexps ".* .* .*ssh";
    }
}

Aunque las allow/deny-configuration instrucciones también son útiles cuando se desea una configuración simple, las allow/deny-configuration-regexps instrucciones proporcionan un mejor rendimiento y superan la ambigüedad que existía al combinar expresiones en las allow/deny-configuration instrucciones.

Uso de expresiones regulares en servidores de autorización remotos

Puede usar expresiones regulares extendidas para especificar qué comandos de modo operativo y modo de configuración, así como instrucciones de configuración y jerarquías se permiten o rechazan para ciertos usuarios. Estas expresiones regulares se especifican localmente en las allow/deny-commandsinstrucciones , allow/deny-configurationallow/deny-commands-regexps y allow/deny-configuration-regexps en el [edit system login class class-name] nivel jerárquico. Estas expresiones regulares se especifican de forma remota mediante la especificación de los atributos TACACS+ o RADIUS específicos del proveedor de Juniper Networks en la configuración del servidor de autorización. Cuando configure parámetros de autorización local y remotamente, el dispositivo fusiona las expresiones regulares recibidas durante la autorización TACACS+ o RADIUS con cualquier expresión regular definida en el dispositivo local.

Cuando se especifican varias expresiones regulares en una configuración local mediante las allow-commandsinstrucciones , deny-commands, allow-configurationo deny-configuration , se configuran las expresiones regulares entre paréntesis y las separa mediante el símbolo de canalización. Encierra la expresión completa entre comillas dobles. Por ejemplo, puede especificar varios allow-commands parámetros con la siguiente sintaxis:

El servidor de autorización RADIUS utiliza los siguientes atributos y sintaxis:

El servidor de autorización TACACS+ utiliza los siguientes atributos y sintaxis:

Cuando se especifican varias expresiones regulares en una configuración local mediante las allow-commands-regexpsinstrucciones , deny-commands-regexps, allow-configuration-regexpso deny-configuration-regexps , se configuran las expresiones regulares entre comillas dobles y las separa mediante el operador de espacio. Encierre la expresión completa entre corchetes. Por ejemplo, puede especificar varios parámetros allow-commands con la siguiente sintaxis:

El servidor de autorización RADIUS utiliza los siguientes atributos y sintaxis:

El servidor de autorización TACACS+ utiliza los siguientes atributos y sintaxis:

Los servidores RADIUS y TACACS+ también admiten una sintaxis simplificada en la que se especifica cada expresión individual en una línea independiente. Por ejemplo, la sintaxis simplificada del servidor RADIUS es:

De manera similar, la sintaxis simplificada del servidor TACACS+ es:

Tabla 3 diferencia la configuración de autorización local y la configuración de autorización del servidor TACACS+ mediante el uso de expresiones regulares.

login {
    class local {
        permissions configure;
        allow-commands "(ping .*)|(traceroute .*)|(show .*)|(configure .*)|(edit)|(exit)|(commit)|(rollback .*)";
        deny-commands .*;
        allow-configuration "(interfaces .* unit 0 family ethernet-switching vlan mem.* .*)|(interfaces .* native.* .*)|(interfaces .* unit 0 family ethernet-switching interface-mo.* .*)|(interfaces .* unit .*)|(interfaces .* disable)|(interfaces .* description .*)|(vlans .* vlan-.* .*)"
        deny-configuration .*;
    }
}

user = remote {
    login = username
    service = junos-exec {
        allow-commands1 = "ping .*"
        allow-commands2 = "traceroute .*"
        allow-commands3 = "show .*"
        allow-commands4 = "configure"
        allow-commands5 = "edit"
        allow-commands6 = "exit"
        allow-commands7 = "commit"
        allow-commands8 = ".*xml-mode"
        allow-commands9 = ".*netconf.*"
        allow-commands10 = ".*need-trailer"
        allow-commands11 = "rollback.*"
        allow-commands12 = "junoscript"
        deny-commands1 = ".*"
        allow-configuration1 = "interfaces .* unit 0 family ethernet-switching vlan mem.* .*"
        allow-configuration2 = "interfaces .* native.* .*"
        allow-configuration3 = "interfaces .* unit 0 family ethernet-switching interface-mo.* .*"
        allow-configuration4 = "interfaces .* unit .*"
        allow-configuration5 = "interfaces .* disable"
        allow-configuration6 = "interfaces .* description .*"
        allow-configuration7 = "interfaces .*"
        allow-configuration8 = "vlans .* vlan-.* .*"
        deny-configuration1 = ".*"
        local-user-name = local-username
        user-permissions = "configure"
    }
}

Especificar expresiones regulares

Debe especificar expresiones regulares para los comandos y las instrucciones de configuración de la misma manera que se ejecuta el comando o instrucción completo. Tabla 4 enumera las expresiones regulares para configurar privilegios de acceso para las [edit interfaces] jerarquías de instrucción y[edit vlans].

[edit]
user@host# set interfaces interface-name unit interface-unit-number

[edit system login class class-name]
user@host# set permissions configure
user@host# set deny-configuration "interfaces .* unit .*"

[edit]
user@host# set vlans vlan-name vlan-id vlan-id

[edit system login class class-name]
user@host# set permissions configure
user@host# set allow-configuration "vlans .* vlan-id .*"

Operadores de expresiones regulares

Tabla 5 enumera los operadores de expresión regular comunes que puede usar para permitir o denegar los modos operativos y de configuración.

Las expresiones regulares de comando implementan las expresiones regulares extendidas (modernas), tal como se definen en POSIX 1003.2.

[edit system login class test]
user@host# set permissions configure
user@host# set allow-commands "(ping)|(traceroute)|(show system alarms)|(show system software)"
user@host# set deny-configuration "(access)|(access-profile)|(accounting-options)|(applications)|(apply-groups)|(bridge-domains)|(chassis)|(class-of-service)"

[edit system login class test]
user@host# set permissions interface
user@host# set permissions interface-control
user@host# set allow-commands "(^show) (log|interfaces|policer))|(^monitor)"

[edit system login class test]
user@host# set permissions interface
user@host# set allow-commands "(show interfaces$)"

[edit system login class test]
user@host# set permissions clear
user@host# set permissions configure
user@host# set permissions network
user@host# set permissions trace
user@host# set permissions view
user@host# set allow-configuration-regexps [ "interfaces [gx]e-.* unit [0-9]* description .*" ]

[edit system login class test]
user@host# set permissions all
user@host# set allow-commands "(clear)|(configure)"
user@host# deny-commands "(mtrace)|(start)|(delete)"

[edit system login class test]
user@host# set permissions configure
user@host# set deny-configuration "(system login class m*)"

[edit system login class test]
user@host# set permissions configure
user@host# set deny-configuration "(system login class m+)"

[edit system login class test]
user@host# set permissions configure
user@host# set deny-configuration "(system login class m.)"

[edit system login class test]
user@host# set permissions configure
user@host# set deny-configuration "(system login class m .*)"

Ejemplos de expresión regular

Tabla 6 enumera las expresiones regulares utilizadas para permitir opciones de configuración en dos jerarquías de configuración y[edit system ntp server][edit protocols rip]—como ejemplo para especificar expresiones regulares.

[edit system login class test]
set permissions configure
set allow-configuration-regexps [ "system ntp server .*" "system ntp server .* key .*" ]
set deny-configuration-regexps [ "system ntp server .* version .*" "system ntp server .* prefer" ]

[edit system login class test]
set permissions configure
set allow-configuration-regexps [ "system ntp server .*" "system ntp server .* version .*" ]
set deny-configuration-regexps [ "system ntp server .* key .*" "system ntp server .* prefer" ]

[edit system login class test]
set permissions configure
set allow-configuration-regexps [ "system ntp server .*" "system ntp server .* prefer" ];
set deny-configuration-regexps [ "system ntp server .* key .*" "system ntp server .* version .*" ]

[edit system login class test]
set permissions configure
set allow-configuration-regexps "protocols rip message-size .*"
set deny-configuration-regexps [ "protocols rip metric-in .*" "protocols rip route-timeout .*" "protocols rip update-interval .*" ]

[edit system login class test]
set permissions configure
set  allow-configuration-regexps "protocols rip metric-in .*"
set  deny-configuration-regexps [ "protocols rip message-size .*" "protocols rip route-timeout .*" "protocols rip update-interval .*" ]

[edit system login class test]
set permissions configure
set allow-configuration-regexps "protocols rip route-timeout .*"
set deny-configuration-regexps [ "protocols rip metric-in .*" "protocols rip message-size .*" "protocols rip update-interval .*" ]

[edit system login class test]
set permissions configure
set allow-configuration-regexps "protocols rip update-interval .*"
set deny-configuration-regexps [ "protocols rip metric-in .*" "protocols rip route-timeout .*" "protocols rip message-size .*" ]